2026年10月30日，日本无印良品运营商良品计划（Ryohin Keikaku）首次披露系统遭外部非法访问，称最多约 2726万条 用户信息可能泄露，涉及电子邮箱、出生日期和性别，并表示"不涉及信用卡资料、姓名、住址和电话号码"。
然而仅5天后，11月4日的第二份公告就推翻了这一说法：
-
受影响范围从 MUJI App 用户扩大至未使用 App 的网上商城会员；
-
约 52万用户 的姓名、住址、电话号码确认在泄露范围内；
-
另有约 109万件 MUJI Card 会员信息 可能遭非法访问，其中包含完整信用卡卡号，
涉及2000年10月至2021年7月期间办卡的用户。
11月6日，无印良品（上海）商业有限公司发布情况说明：中国消费者信息确认安全，与此次日本事件无关。中国会员信息存储于独立服务器，依据本地法规不向境外传输。同时，MUJI中国已主动开展网络安全专项排查，进行深度扫描与修复。
一、案例剖析：三个违规点
1.数据留存"超期服役"
此次泄露的 MUJI Card 数据可追溯至 2000年——也就是说，跨度超过20年的用户完整信用卡卡号仍留存在系统中。这直接违背了数据保护的"最小必要"原则：办卡业务早已结束或变更，完整卡号本应按期删除或匿名化，却被长期留存，最终在一次入侵中被"一锅端"。对企业而言，没删掉的旧数据不是资产，而是负债。存得越久、越全，泄露时的杀伤力越大。
2.支付数据管理触碰红线
完整信用卡卡号的泄露是最刺眼的部分。按照 PCI-DSS（支付卡行业数据安全标准）及主流合规实践，企业原则上不应存储完整卡号，敏感验证信息（如CVV）更是严禁留存。存储即意味着必须承担最高等级的防护义务，一旦失守，法律、赔偿、品牌代价将远超"留存带来的便利"。
3.危机披露造成二次信任伤害
第一次公告明确表示"不涉及信用卡、姓名、住址"，第二次公告被迫修正。这种"挤牙膏式"披露，其危害往往超过泄露本身：
-
用户基于第一份公告做出了"风险不大"的错误判断；
-
媒体和监管机构会认为企业要么能力不足（查不清），要么诚意不足（没全说）；
-
每一次修正都是一次新的负面舆情高峰，拉长了危机周期。
对比之下，MUJI中国的应对值得肯定：迅速切割风险（独立服务器、数据不出境）、主动开展专项排查、第一时间发布说明，把一场全球性危机在中国市场的影响控制在最小范围。
二、对企业的警示
1.会员体系是消费品企业的"数据命门"
消费品企业的核心竞争力正在从"渠道"转向"会员资产"——App、小程序、电商旗舰店、积分卡，沉淀了海量个人信息。但会员数据越多，泄露的敞口越大。会员数字化到什么程度，数据安全投入就必须跟到什么程度，否则增长引擎随时会变成引爆点。
2.立即开展"历史数据大扫除"
建议企业对照自查：
-
超过业务必要期限的数据是否已删除或匿名化？
-
早期系统（老ERP、老会员系统、废弃App）中的数据是否无人看管？
-
是否存在"为方便分析"而长期留存的完整支付信息、身份证号等敏感字段？
数据生命周期管理（采集—使用—存储—删除）必须闭环，"只进不出"的仓库迟早出事。
3.支付数据能不留就不留
接入持牌支付机构、使用Token化（令牌化）方案替代卡号存储，是零售企业的主流解法。自己存卡号，等于自愿背上最高等级的合规包袱。
4.跨境架构是"防火墙"而不只是合规要求
MUJI中国此次能全身而退，关键在于数据本地化架构：中国会员信息存于独立服务器、不向境外传输。这不仅满足《个人信息保护法》《数据安全法》对数据出境的要求，客观上也在全球总部出事时形成了物理隔离。对跨国经营的消费品企业而言，区域化的数据架构既是合规底线，也是危机时的"防火墙"。
5.危机披露必须"一次说清，留有余地"
泄露事件的披露策略应当是：查清之前，不把话说死；公告之中，明确告知"调查仍在进行，范围可能扩大"。宁可第一份公告更谨慎，也不要被迫发第二份修正公告。同时应提前准备应急预案：客服话术、监管报备路径、用户通知模板、补救措施（如免费信用监测），做到事发后24-48小时内有条不紊。
结语
无印良品事件的表面是"黑客攻击"，实质是数据治理欠账的集中爆发：超期留存的历史数据、不该存的完整卡号、边界不清的会员体系、失准的第一份公告——每一环都是企业内部管理问题，而非纯粹的技术问题。
对消费品企业来说，数字化转型走到今天，数据安全已不再是IT部门的成本项，而是与产品质量、供应链安全同等重要的经营底线。
本文源自：Ryohin Keikaku